पॉजिटिव हैक डेज़ CTF 2012. यह कैसे था

कैप्चर द फ्लैग के सिद्धांत पर हैकर्स की लड़ाई ध्वज PHDays 2012 मंच कार्यक्रम का मुख्य आकर्षण बन गया: दो दिनों के लिए और 10 देशों के एक रात के नॉन-स्टॉप 12 टीमों ने दुश्मन के नेटवर्क में हैक किया और अपना बचाव किया।

कई अन्य समान प्रतियोगिताओं के विपरीत, PHDays CTF की स्थितियां , मुकाबला करने के लिए जितना संभव हो उतना करीब था: सभी कमजोरियों का आविष्कार नहीं किया गया था, लेकिन वास्तव में वे आधुनिक सूचना प्रणालियों में पाए गए थे। इसके अलावा, प्रतिभागी गेम समस्याओं को नेत्रहीन रूप से हमला कर सकते हैं - उन तक पहुंच के बिना सिस्टम पर हमला, लेकिन सबसे महत्वपूर्ण बात: इस वर्ष प्रतियोगिताओं को "किंग ऑफ द हिल" के सिद्धांत पर बनाया गया था (अंक न केवल कैप्चरिंग सिस्टम के लिए, बल्कि उन्हें पकड़ने के लिए भी सम्मानित किया गया था)।

अधिकतम जीवन शक्ति के सिद्धांत के अनुसार, प्रतिस्पर्धी बुनियादी ढांचे ने कॉर्पोरेट नेटवर्क की संरचना को दोहराया: बाहरी परिधि में वेब एप्लिकेशन, डीबीएमएस सर्वर और विभिन्न निर्देशिकाएं (एलडीएपी) शामिल हैं; इसके कैद होने के बाद ही व्यक्ति आंतरिक परिधि में पहुंच सकता है - Microsoft सक्रिय निर्देशिका। असल जिंदगी में सब कुछ वैसा ही है।

प्रदर्शन

प्रतियोगिता में एक मोड़ जोड़ने के लिए, हमने एक किंवदंती तैयार की, जिसके अनुसार CTF के दौरान खेल की आधारभूत संरचना में उसी कथानक में बदलाव किए गए। प्रतिभागियों को न केवल अपने प्रतिद्वंद्वियों से आगे निकलना था, बल्कि दुनिया को बचाने के लिए कम (प्रतियोगिता के पहले और दूसरे दिनों की किंवदंती को मंच ब्लॉग में प्रकाशित किया गया था)।

इस साल टूर्नामेंट ने एक रियलिटी शो के तत्वों को भी अधिग्रहित किया: मंच पर व्यक्तिगत आगंतुकों को बेतरतीब ढंग से बोनस कुंजियों के साथ कार्ड दिए गए थे, जो कि वे दूसरे दिन के अंत में अपनी टीम के लिए अपने विवेकानुसार पास कर सकते थे।

कसौटी

प्रतियोगियों के लिए मामला केवल शुद्ध हैकिंग तक सीमित नहीं था। विशेष रूप से तैयार "कचरा" के साथ एक विशाल कंटेनर डिजिटल अक्टूबर प्रौद्योगिकी केंद्र की लॉबी में स्थापित किया गया था, जिसमें प्रतिभागियों को बोनस कुंजियों (झंडे) की तलाश करनी थी। डम्पस्टर डाइविंग में, प्रत्येक टीम को आधे घंटे का समय दिया गया था।



इसके अलावा, नए आश्चर्य ने पॉजिटिव हैक डेज़ फोरम के दूसरे दिन सीटीएफ प्रतिभागियों का इंतजार किया। इनमें से पहला विमान AR.Drone के नियंत्रण को बाधित करने का कार्य था - एक उपकरण जो असुरक्षित वायरलेस कनेक्शन के माध्यम से फोन से नियंत्रित होता है। इस समस्या को हल करने के लिए प्रतिभागियों को 30 मिनट का समय दिया गया।

चूंकि 31 मई को मास्को में मौसम गैर-उड़ान था, इसलिए प्रौद्योगिकी केंद्र की लॉबी में प्रक्षेपण किए गए।



इस प्रतियोगिता के विजेता ने न केवल अपनी टीम के लिए बोनस अंक अर्जित किए, बल्कि खुद विमान भी प्राप्त किया। क्वाडरोकॉप्टर्स के मालिक हैकरडोम टीम (रूस) से सर्गेई अज़ोव्स्क और पीपीपी (यूएसए) के मैट डिकॉफ़ थे।

खंड "धन की रक्षा कैसे करें" के भीतर एक प्रतियोगिता "बिग कू $ ज" रखी गई थी। हैकर्स को इस प्रतियोगिता के लिए विशेष रूप से डिज़ाइन किए गए आरबी सिस्टम से पैसे निकालने थे। प्रतियोगिता के दूसरे चरण में, CTF टीमों को दूरस्थ बैंकिंग प्रणाली (यह उन्हें चार घंटे लगते हैं) की सुरक्षा के लिए कड़ी मेहनत करनी पड़ी, और फिर ऑनलाइन हैकक्वेस्ट प्रतियोगिता के प्रतिभागियों ने 30 मिनट के लिए सिस्टम पर हमला किया और CTF टीमों के बैंकों से पैसे निकालने की कोशिश की (विवरण के लिए, हमारा हैब्रोटॉपिक देखें )।



CTF सदस्य इस लड़ाई को जीतने में कामयाब रहे और अपने लगभग सभी पैसे बचाए।

परिणाम

पॉजिटिव हैक डेज़ CTF 2012 में जीत रूसी टीम लेट मोर ने जीती: पिछले साल लोगों ने दूसरा स्थान हासिल किया, लेकिन इस बार अपने प्रतिद्वंद्वियों को एक भी मौका नहीं दिया और 150,000 रूबल का मुख्य पुरस्कार छीन लिया। दूसरे स्विट्जरलैंड से 0daysober (100,000 रूबल) के प्रतिनिधि थे, और तीसरा स्थान और 50,000 रूबल की राशि। Spaniards ने int3pids से विजय प्राप्त की। पिछले साल के विजेता - संयुक्त राज्य अमेरिका से पीपीपी टीम - ने चौथा स्थान हासिल किया। अंतिम तालिका इस प्रकार है।



मैं जापान से टैचीकोमा टीम का उल्लेख करना चाहूंगा, जिसमें चार अलग-अलग जापानी विश्वविद्यालयों के छात्र शामिल थे और पीएचडी सीटीएफ में शुरुआत की थी। उगते सूरज का पूरा देश लोगों के लिए निहित था, और पहली बार उन्होंने योग्य से अधिक प्रदर्शन किया।

0-दिन

CTF ने कुछ बहुत रोचक कमजोरियाँ खोजीं। लेट मोर टीम को फ्रीबल्ड 8.3 रिलीज़ (स्थानीय भेद्यता - बाइपास सुरक्षा प्रतिबंध) में 0-दिन मिला। इस भेद्यता का लाभ उठाते हुए, ध्वज सुरक्षा तंत्र को बाधित करना और उनके झंडे को हटाना संभव था, ताकि वे प्रतिद्वंद्वियों के पास न जाएं। लेकिन किसी ने ऐसा नहीं किया :)

इसके अलावा, आइंडबेजन टीम (नीदरलैंड्स) ने "किंग ऑफ द हिल" पर एक XSS अटैक वेक्टर की खोज की। ऐसे वेब हमले का परिदृश्य सीटीएफ की तैयारी में प्रदान नहीं किया गया था, इसलिए इसे एक प्रकार का शून्य-दिवस भेद्यता भी कहा जा सकता है।

Defcon। मास्को से नमस्कार

अफसोस की बात है कि डेफकॉन ने कभी भी अपने CTF क्वालीफायर को स्थानांतरित नहीं किया। यह स्पष्ट है कि फोरम के तुरंत बाद, PHDays CTF में भाग लेने वाली 12 टीमें शारीरिक रूप से चयन में सामान्य रूप से भाग लेने में असमर्थ थीं: कोई विमान पर था, और कोई बस बहुत थका हुआ था।

नतीजतन, पीपीपी टीम की पहल पर (हास्य की भावना के साथ, उनके पास आदेश है) एक तस्वीर दिखाई दी जो "संकेत करने के लिए लग रही थी"।



अन्यथा, सब कुछ सुपर था! अगले साल हम PHDays CTF को और भी मज़ेदार बनाने की कोशिश करेंगे।

पुनश्च पूर्ण CTF किंवदंती (पाठ + वीडियो) और मंच समीक्षा के लिंक प्रतियोगिता के आयोजकों में से एक के ब्लॉग पर पाए जा सकते हैं।